Open Source Security Appliances Sicherheit zum Nulltarif

"Security out of the Box" entpuppt sich oft als Illusion. Auch Appliances etablierter Hersteller sind nicht vor Angriffen gefeit und schlagen durch Lizenzkosten kräftig aufs Budget. Open-Source-Lösungen wie OPNsense sind eine Alternative, wenn die Hardware passt.

Bei der Wurst und bei Gesetzen, so heißt es, wüsste man lieber nicht wie sie gemacht werden. Ganz ähnlich sieht es auch bei vielen Security und Infrastruktur-Appliances aus: Man weiß nie, was wirklich drin ist. Proprietäre Betriebssysteme und Sicherheitsapplikationen sind kombiniert mit einer Hardware, deren veröffentlichte Spezifikationen gelegentlich mehr Fragen offen lassen als sie beantworten. Das Versprechen der Hersteller: OS und Anwendungen, etwa Firewalls oder VPNs sind speziell für sicherheitskritische Fälle optimiert; nutzerfreundliche Bedienoberflächen machen die Konfiguration zum Kinderspiel. Und für jeden Zweck, ob Firewall, IDS oder Load Balancer gibt es das passende Gerät. Perfekte Security "out of the box" eben. Alles nur eine Frage des Preises.

Auch namhafte Hersteller sind angreifbar

Doch so einfach ist es nicht. Immer wieder machen auch die namhaftesten Hersteller durch ausgenutzte Sicherheitslücken unrühmlich von sich reden. Jüngstes Beispiel: Der erfolgreiche Angriff auf hunderte Cisco-Router in Russland und im Iran, bei denen Unbekannte die Konfigurationsdatei durch die US-Flagge in ASCII-Art ersetzten. Auch können Lizenzkosten, vor allem beim Einsatz sehr vieler Systeme, gehörig aufs Budget schlagen.

Um auf den anfänglichen Vergleich mit der fleischverarbeitenden Industrie zurückzukommen: Dort gibt es den Gegentrend der "gläsernen Fabrikation". Konsumenten haben, wenn sie wollen, den vollen Einblick in Herstellung und Bestandteile des Erzeugnisses. Übertragen auf Security-Appliances heißt das, echte Open-Source-Entwicklung bei der Software, sowie Standardkomponenten und maximale Transparenz bei der Hardware. Und diese Software gibt es auch noch zum Nulltarif.

Enterprise Features ohne Lizenzkosten

Ein gutes Beispiel dafür sind die Firewall-Systeme mit OPNsense, die zeigen, dass ausgereifte Sicherheit auch ohne Kosten für die Software möglich ist. Der Begriff Firewall wird OPNsense dabei nur wenig gerecht, denn die Open-Source-Software ist viel mehr als das. Neben Stateful Packet Filtering, Intrusion Detection&Prevention und VPN sind viele Features mit an Bord, die sich andere Hersteller teuer bezahlen lassen. Hier nur einige Beispiele: Zwei-Faktor-Authentisierung ist standardmäßig vorhanden, Antispam- und Antivirus-Funktionen sind über Plugins realisiert. Da die beste Firewall nichts nützt, wenn sie ausfällt, können mehrere Systeme zu Failover-Gruppen zusammengeschlossen werden. Diese synchronisieren Zustandstabellen und Konfiguration und beim Ausfall des primären Systems übernimmt ein anderes automatisch die Arbeit. Ein echtes Highlight ist auch das Captive Portal mit Voucher-Verwaltung. Damit wird OPNsense für Betreiber von Gäste-Netzwerken und Hot Spots, etwa in Hotels, zu einer attraktiven Option, da keine Lizenzkosten anfallen.

Ausgereift und gehärtet

Nun sind Enterprise-Features nur eine Seite der Medaille -- Sicherheit, Code-Qualität und Freiheit von Backdoors aber die womöglich wichtigere zweite. OPNsense beruht auf FreeBSD und dessen Firewall pf. Diese stammt vom OpenBSD-Projekt, das bekannt für seine besonders sorgfältigen Security Audits ist. Als Crypto-Bibliothek kann außer dem verbreiteten OpenSSL auch die alternative Implementierung LibreSSL verwendet werden.

Um OPNsense auch auf der Ebene des Betriebssystems so sicher wie möglich zu machen, integrieren die Entwickler die wichtigsten Komponenten von HardenedBSD, einer Security-orientierten Variante von FreeBSD. Die OPNsense-Entwickler sitzen übrigens mehrheitlich in Europa. Befürchtungen hinsichtlich NSA-Backdoors oder dergleichen kann somit der Wind aus den Segeln genommen werden. Koordiniert wird das Projekt vom niederländischen Unternehmen Deciso, das im Bedarfsfall auch professionellen Support anbietet.

Passende Hardware von deutschem Server-Hersteller

FreeBSD mit seiner langen Entwicklungsgeschichte ist ausgereift und extrem stabil, aber im Vergleich etwa zu Linux weniger verbreitet. Deshalb stolpert der Anwender hier unter Umständen häufiger über nicht passende Hardware.

Der deutsche Server-Hersteller Thomas-Krenn testet und optimiert als OPNsense-Partner deshalb ausgewählte Systeme aus seinem Portfolio mit dem Firewall-System.

Für Transparenz auf der Hardware-Seite sorgt der Hersteller mit detaillierten Spezifikationen, ausführlichen Prüfberichten und technischen Infos auf seinem Wiki. So wird die komplette Firewall-Appliance so "gläsern" wie nur möglich. Undurchdringlich bleibt sie hoffentlich nur für den Angreifer.

(ID:45282744)